# dotnet-blazor-auth 跨所有 Blazor 托管模型进行身份验证和授权。涵盖 AuthorizeView、CascadingAuthenticationState、Identity UI 脚手架、基于角色/策略的授权、每个托管模型的身份验证流程差异（cookie 与令牌）以及外部身份提供商。 ## 范围 * 每个 Blazor 托管模型的身份验证流程（服务器、WASM、自动、SSR、混合） * AuthorizeView 和 CascadingAuthenticationState 模式 * 身份UI支架和定制 * Blazor 中基于角色/策略的授权 * 客户端令牌处理和外部身份提供商 * Blazor 应用程序的显式登录/注销/身份验证 UI 实现任务 ## 超出范围 * JWT 令牌生成和验证 - 请参阅 [技能：dotnet-api-security] * OWASP 安全原理 -- 参见[技能:dotnet-security-owasp] * CSRF/XSS/CSP/速率限制强化，无需身份验证流程工作 - 请参阅 [skill:dotnet-security-owasp] * 仅对现有登录页面进行强化审查，无需更改身份验证流程 - 请参阅 [skill:dotnet-security-owasp] * b auth 组件的单元测试 -- 请参阅 [技能：dotnet-blazor-testing] * E2E 身份验证测试 -- 请参阅 [技能：dotnet-playwright] * UI框架选择——参见【技能：dotnet-ui-chooser】交叉引用：[skill:dotnet-api-security] 用于 API 级身份验证，[skill:dotnet-security-owasp] 用于 OWASP 原则，[skill:dotnet-blazor-patterns] 用于托管模型，[skill:dotnet-blazor-components] 用于组件架构，[skill:dotnet-blazor-testing] 用于 bUnit 测试，[skill:dotnet-playwright] 用于 E2E 测试， [技能：dotnet-ui-chooser] 用于框架选择。路由注意事项：除非任务明确包含 Blazor 身份验证流程/UI 实现，否则请勿加载此技能进行 OWASP 强化审核。 ** ** ## 每个托管模型的身份验证流程不同 Blazor 托管模型的身份验证模式存在显着差异：关注|互动服务器|交互式WebAssembly |互动汽车 |静态SSR |混合动力 ---|---|---|---|---|--- 认证机制|基于Cookie（服务器端） |基于令牌（JWT/OIDC）| Cookie（服务器阶段）、Token（WASM阶段）|基于 Cookie（标准 ASP.NET Core）|平台原生或 cookie 用户状态访问 |直接`HttpContext`访问 | `AuthenticationStateProvider` |因阶段而异 | `HttpContext` |平台授权API 代币存储|不需要（cookie）| `localStorage` 或 `sessionStorage` |从 cookie 到 token 的转变 |不需要（cookie）|安全存储（钥匙串等）刷新处理 |电路重接|通过拦截器刷新令牌 |自动|标准 cookie 更新 |特定于平台 ### 交互式服务器身份验证服务器端 Blazor 使用 cookie 身份验证。用户通过标准 ASP.NET Core 登录流程进行身份验证，并且 cookie 与建立 SignalR 电路的初始 HTTP 请求一起发送。 // 程序.cs builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme) .AddCookie(选项=> { options.LoginPath = "/帐户/登录"; options.AccessDeniedPath = "/Account/AccessDenied"; }); builder.Services.AddCascadingAuthenticationState(); builder.Services.AddAuthorization(); **问题：** `HttpContext` 在初始 HTTP 请求期间可用，但在建立 SignalR 电路后在交互式组件中为 `null`。不要在交互式组件生命周期方法中访问“HttpContext”。请改用“AuthenticationStateProvider”。 ### InteractiveWebAssembly 身份验证 WASM 在浏览器中运行。 Cookie 身份验证适用于同源 API（以及后端换前端 / BFF 模式），但基于令牌的身份验证 (OIDC/JWT) 是跨源 API 和委托访问场景的标准方法： // 客户端程序.cs (WASM) builder.Services.AddOidcAuthentication（选项=> { options.ProviderOptions.Authority = "https://login.example.com"; options.ProviderOptions.ClientId = "blazor-wasm-client"; options.ProviderOptions.ResponseType = "代码"; options.ProviderOptions.DefaultScopes.Add("api"); }); // 使用 BaseAddressAuthorizationMessageHandler 将令牌附加到 API 调用 //（自动将请求的令牌附加到应用程序的基地址） builder.Services.AddHttpClient("API", 客户端 => client.BaseAddress = new Uri("https://api.example.com")) .AddHttpMessageHandler(sp => sp.GetRequiredService() .配置处理程序( 授权网址：[“https://api.example.com”]，范围：[“api”]））； builder.Services.AddScoped(sp => sp.GetRequiredService().CreateClient("API")); ### 交互式自动验证自动模式以 InteractiveServer（cookie 身份验证）启动，然后转换为 WASM（令牌身份验证）。处理两者： // 服务器程序.cs builder.Services.AddAuthentication() .AddCookie() .AddJwtBearer(); // 用于转换后的 WASM API 调用 builder.Services.AddCascadingAuthenticationState(); ### 混合 (MAUI) 身份验证 // 注册平台特定的身份验证 builder.Services.AddAuthorizationCore(); builder.Services.AddScoped(); // 使用安全存储的自定义提供程序公共类 MauiAuthStateProvider ： AuthenticationStateProvider { 公共覆盖异步任务 GetAuthenticationStateAsync() { var token = wait SecureStorage.Default.GetAsync("auth_token"); if (字符串.IsNullOrEmpty(令牌)) { 返回新的 AuthenticationState(new ClaimsPrincipal(new ClaimsIdentity())); } var 声明 = ParseClaimsFromJwt(token); var Identity = new ClaimsIdentity(claims, "jwt"); 返回新的 AuthenticationState(new ClaimsPrincipal(identity)); } } ** ** ## 授权查看 `AuthorizeView` 根据用户的身份验证和授权状态有条件地呈现内容。 ### 基本用法 <授权视图> <授权>

欢迎，@context.User.Identity？.姓名！

退出 <未授权> 登录 <授权>

正在检查身份验证...

### 基于角色 <授权> <管理仪表板/> <未授权>

您无权访问管理仪表板。

### 基于政策 <授权> // 在Program.cs中注册策略 builder.Services.AddAuthorizationBuilder() .AddPolicy("CanEditProducts", 策略 => policy.RequireClaim("permission", "products.edit")); ** ** ## 级联身份验证状态 “CascadingAuthenticationState”将当前的“AuthenticationState”作为级联参数提供给所有后代组件。 ### 设置 // Program.cs -- 注册级联身份验证状态 builder.Services.AddCascadingAuthenticationState(); 这取代了将整个应用程序包装在“”（旧模式）中。基于服务的注册（.NET 8+）是首选。 ### 在组件中使用身份验证状态 @代码{ [级联参数] 私有任务？ AuthState { 获取；放; } 私有字符串？用户名； protected 覆盖异步任务 OnInitializedAsync() { if (AuthState 不为空) { var state = 等待 AuthState; 用户名 = state.User.Identity?.Name; } } } ### 访问声明 var state = 等待 AuthState; var 用户 = 状态.User; // 检查身份验证 if (用户.Identity?.IsAuthenticated == true) { var email = user.FindFirst(ClaimTypes.Email)?.Value; var 角色 = user.FindAll(ClaimTypes.Role).Select(c => c.Value); var isAdmin = user.IsInRole("Admin"); } ** ** ## 身份 UI 脚手架 ASP.NET Core Identity 提供了完整的身份验证系统，包括注册、登录、电子邮件确认、密码重置和双因素身份验证。 ### 将身份添加到 Blazor Web 应用程序 # 添加身份脚手架 dotnet 添加包 Microsoft.AspNetCore.Identity.EntityFrameworkCore dotnet 添加包 Microsoft.AspNetCore.Identity.UI // 程序.cs builder.Services.AddDbContext(选项 => options.UseSqlServer(builder.Configuration.GetConnectionString("默认"))); builder.Services.AddIdentity(选项 => { options.Password.RequireDigit = true; 选项.密码.RequiredLength = 8; options.Password.RequireNonAlphanumeric = true; options.SignIn.RequireConfirmedAccount = true; }) .AddEntityFrameworkStores() .AddDefaultTokenProviders(); ### 脚手架身份页面 # 为自定义搭建个人身份页面的支架 dotnet aspnet-codegenerator 身份 -dc ApplicationDbContext --files "Account.Login;Account.Register;Account.Logout" ### 使用 Blazor 组件自定义身份 UI 为了获得完全 Blazor 本机身份验证体验，请创建调用 Identity API 的 Blazor 组件： @page“/帐户/登录” @inject SignInManager SignInManager @inject NavigationManager 导航 <数据注释验证器/> <验证摘要/>

记住我

@if (!string.IsNullOrEmpty(errorMessage)) {

@errorMessage

} @代码{ [来自表格的供应参数] 私有 LoginModel 登录模型 { 获取；放; } = 新的(); 私有字符串？错误信息; 私有异步任务 HandleLogin() { var 结果 = 等待 SignInManager.PasswordSignInAsync( 登录模型.电子邮件，登录模型.密码， LoginModel.RememberMe, lockoutOnFailure: true); if (结果.成功) { Navigation.NavigateTo("/",forceLoad: true); } else if (结果.RequiresTwoFactor) { Navigation.NavigateTo("/Account/LoginWith2fa"); } else if (结果.IsLockedOut) { errorMessage = "帐户已锁定。请稍后重试。"; } 否则 { errorMessage = "无效的登录尝试。"; } } } **问题：** `SignInManager` 使用 `HttpContext` 来设置 cookie。在交互式渲染模式下，“HttpContext”在电路建立后不可用。登录/注销页面必须使用静态 SSR（无“@rendermode”），以便它们可以访问“HttpContext”进行 cookie 操作。 ** ** ## 基于角色和策略的授权 ### 页面级授权 @页面“/admin” @attribute [授权(角色 = "管理员")]

管理面板

@page“/产品/管理” @attribute [授权(策略 = "ProductManager")]

管理产品

### 定义策略 builder.Services.AddAuthorizationBuilder() .AddPolicy("ProductManager", 策略 => policy.RequireRole("Admin", "ProductManager")) .AddPolicy("可以删除订单", 策略 => policy.RequireClaim("权限", "订单.删除") .RequireAuthenticatedUser()) .AddPolicy("最低年龄", 政策 => 政策.AddRequirements（新的MinimumAgeRequirement（18）））; ### 自定义授权处理程序公共密封类MinimumAgeRequirement（intminimumAge）：IAuthorizationRequirement { 公共 int 最小年龄 { 得到; } = 最小年龄； } 公共密封类MinimumAgeHandler：AuthorizationHandler { 受保护的覆盖任务 HandleRequirementAsync( AuthorizationHandlerContext 上下文，最低年龄要求） { var dateOfBirthClaim = context.User.FindFirst("date_of_birth"); if (dateOfBirthClaim 不为空 && DateOnly.TryParse(dateOfBirthClaim.Value, out var dob)) { var Age = DateOnly.FromDateTime(DateTime.UtcNow).Year - dob.Year; if (年龄 >= 要求.最低年龄) { 上下文.成功（要求）； } } 返回任务.CompletedTask; } } // 注册 builder.Services.AddSingleton （）; ### 组件中的程序授权 @inject IAuthorizationService AuthorizationService @代码{ [级联参数] 私有任务？ AuthState { 获取；放; } private bool can编辑； protected 覆盖异步任务 OnInitializedAsync() { if (AuthState 不为空) { var state = 等待 AuthState; var 结果 = 等待 AuthorizationService.AuthorizeAsync( state.User, "CanEditProducts"); canEdit = 结果.成功; } } } ** ** ## 外部身份提供商 ### 添加外部提供商 builder.Services.AddAuthentication() .AddMicrosoftAccount(选项=> { options.ClientId = builder.Configuration["Auth:Microsoft:ClientId"]!; options.ClientSecret = builder.Configuration["Auth:Microsoft:ClientSecret"]!; }) .AddGoogle(选项=> { options.ClientId = builder.Configuration["Auth:Google:ClientId"]!; options.ClientSecret = builder.Configuration["Auth:Google:ClientSecret"]!; }); ### 每个托管模型的外部登录流程托管模式|流量|注释 ---|---|--- InteractiveServer / 静态 SSR |标准 OAuth 重定向（服务器端） |回调后存储的cookie 交互式WebAssembly |带有 PKCE 的 OIDC（客户端）|令牌存储在浏览器中混合动力（毛伊岛）| “WebAuthenticator”或 MSAL |特定于平台的安全存储对于 WASM，在客户端项目中配置 OIDC 提供程序： // 客户端程序.cs builder.Services.AddOidcAuthentication（选项=> { options.ProviderOptions.Authority = "https://login.microsoftonline.com/{tenant}"; options.ProviderOptions.ClientId = "{客户端 ID}"; options.ProviderOptions.ResponseType = "代码"; }); 对于毛伊岛混合动力车： var 结果 = 等待 WebAuthenticator.Default.AuthenticateAsync( 新的Uri（“https://login.example.com/authorize”），新的 Uri("myapp://callback")); var token = result.AccessToken; ** ** ## 代理陷阱 1. **不要在交互组件中访问`HttpContext`。** `HttpContext`仅在初始HTTP请求期间可用。在 SignalR 电路建立（InteractiveServer）或 WASM 运行时加载后，它为“null”。请改用“AuthenticationStateProvider”或“CascadingAuthenticationState”。 2. **不要依赖 cookie 来进行 WASM 中的跨域或委托 API 访问。** 将 OIDC/JWT 与“AuthorizationMessageHandler”结合使用以实现跨域 API。同源和后端换前端 (BFF) cookie 身份验证对于 WASM 应用程序仍然有效。 3. **不要在交互模式下渲染登录/注销页面。** `SignInManager` 需要 `HttpContext` 来设置/清除 cookie。登录和注销页面必须使用静态 SSR 渲染模式。 4. **如果不考虑XSS，请勿将令牌存储在`localStorage`中。**如果应用程序容易受到XSS攻击，则`localStorage`中的令牌可能会被窃取。使用“sessionStorage”（在选项卡关闭时清除）或 OIDC 库的内置存储机制与 PKCE。 5. **不要忘记`AddCascadingAuthenticationState()`。**没有它，组件中的`[CascadingParameter] Task`始终为`null`，默默地破坏身份验证检查。 6. **不要同时使用`AddIdentity`和`AddDefaultIdentity`。** `AddDefaultIdentity`包括UI脚手架； `AddIdentity` 没有。根据您是否需要默认身份 UI 页面进行选择。 ** ** ## 先决条件 * .NET 8.0+（具有渲染模式的 Blazor Web 应用程序、“AddCascadingAuthenticationState”服务注册） * `Microsoft.AspNetCore.Identity.EntityFrameworkCore` 用于使用 EF Core 进行身份验证 * `Microsoft.AspNetCore.Identity.UI` 用于默认身份 UI 脚手架 * 用于外部提供商的“Microsoft.AspNetCore.Authentication.MicrosoftAccount”/“.Google” * 用于具有 Microsoft Identity 的 WASM 的“Microsoft.Authentication.WebAssembly.Msal”（Azure AD/Entra） ** ** ## 参考文献 * [Blazor 身份验证和授权]() * [Blazor 服务器身份验证]() * [Blazor WebAssembly 身份验证]() * [ASP.NET Core 身份]() * [外部登录提供程序]() * [基于角色/策略的授权]()

Dotnet Blazor 身份验证

包含技能